1/8 Expediente Nº: E/07233/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CRÓNICA GLOBAL MEDIA, S.L., en virtud de la denuncia presentada D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 01/10/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta que recibe en su dirección electrónica la newsletter Crónica Global pese a que en dos ocasiones, mediante sendos mensajes enviados a ....@cronicaglobal.com., ha solicitado la baja de su dirección electrónica de contacto. Aporta con la denuncia, entre otros, los siguientes documentos: Copia de dos mensajes que envió a la dirección ....@cronicaglobal.com el 31/08/2015 y 12/09/2015 con el siguiente texto: “hagan el favor de darme de baja de su base de datos”. Copia de tres mensajes que recibió en su correo electrónico ....@.... el 16/09/2015, 20/09/2015 y 21/09/2015 desde .....1@cronicaglobal.com en los que se incluye un boletín informativo de actualidad económica y política denominado “Crónica Global”. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<HECHOS CONSTATADOS 1. El denunciante manifiesta que ha solicitado en dos ocasiones mediante correo electrónico, la baja a la entidad denunciada. Aporta copia de dos correos electrónicos remitidos a la dirección ....@cronicaglobal.com en las fechas 31 de agosto y 12 de septiembre de 2015 con el siguiente contenido: “hagan el favor de darme de baja de su base de datos.” No consta en dichos correos la dirección de correo electrónico remitente. 2. El denunciante manifiesta haber recibido, tras su solicitud de baja, comunicaciones de la entidad denunciada. Aporta copia de tres correos electrónicos recibidos en su cuenta ....1@.... remitidos desde la dirección .....1@cronicaglobal.com, en los que consta las fechas 18, 20 y 21 de septiembre de 2015. Los citados mensajes contienen noticias de actualidad e incluyen un enlace para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 solicitar la baja: “baja newsletter.” 3. La página web www.cronicaglobal.com incluye al pie de la misma un enlace denominado “Darse de baja del newsletter” y otro denominado “Alta newsletter CRONICA GLOBAL”. En ambos casos, al pinchar en el enlace se solicita únicamente que se introduzca la dirección de correo electrónico, sin solicitar ningún otro dato. Dicha página incluye además un aviso legal en el que se informa que “El diario CRÓNICA GLOBAL (www.cronicaglobal.com) es propiedad de CRONICA GLOBAL MEDIA, S.L., Correo electrónico: redaccion@cronicaglobal.com” 4. En respuesta a la solicitud de información realizada por el inspector actuante, los representantes de CRÓNICA GLOBAL MEDIA,S.L. remitieron un escrito en el que manifestaron, en referencia al envío del correo electrónico en cuestión, que: 4.1. Crónica es un medio de comunicación digital de ámbito español con base en Barcelona y Madrid. Las páginas, dentro del dominio cronicaglobal.com, permiten a los lectores y usuarios suscribirse mediante formulario en un fichero de receptores de correos electrónicos sobre informaciones publicadas. 4.2. Aportan impresión de pantalla de los datos relativos a la cuenta de correo electrónico ....1@..... Solo consta la mencionada dirección de correo electrónico sin ningún dato adicional, que, según manifiestan es como aparece cuando un lector se inscribe de forma voluntaria y automática. 4.3. Con respecto al procedimiento establecido para atender las solicitudes de baja de comunicaciones comerciales o informativas a través de correo electrónico señalan lo siguiente: Tal y como señala el Aviso Legal incorporado a la portada de la página web http: //www.cronicaglobal.com, el procedimiento para cursar baja debe ser una comunicación escrito a su dirección postal. También disponen de un formulario automatizado en la página web, mediante el cual el lector puede dar de baja su correo electrónico de manera personal. Además, cualquier solicitud de alta o baja recibida en las diferentes direcciones de correo electrónico de la publicación (.....1@cronicaglobal.com o ....@cronicaglobal.com) son atendidas de manera diaria. 4.4. Con respecto a que la dirección de correo citada hubiese realizado alguna comunicación dirigida a CRONICAGLOBAL MEDIA S.L. para oponerse a la recepción de las comunicaciones, no consta en sus archivos de ninguna comunicación desde esa dirección.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Carácter Personal (en lo sucesivo LOPD). II Hay que señalar como cuestión previa que los hechos objeto de la denuncia están sujetos a las disposiciones de la LOPD y que no es aplicable al presente caso el Título III, “De las comunicaciones comerciales”, de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI). Esto, porque las comunicaciones o newsletters que la denunciada remitió al correo electrónico del denunciante no tenían naturaleza de “comunicaciones comerciales” en el sentido en que éstas se definen en el apartado
- f)del Anexo de la LSSI, requisito indispensable para que se aplique el Título III de la Ley 34/2002. La documentación que acompaña a la denuncia demuestra que los boletines recibidos por el denunciante se limitaban a ofrecer noticias sobre la actualidad económica y política, extremo que también ha confirmado la denunciada que ha declarado que “Crónica es un medio de comunicación digital de ámbito español ….”. En otros términos: los boletines que el denunciante estuvo recibiendo en su dirección electrónica desde .....1@cronicaglobal.com no promovían la imagen, bienes o servicios de una empresa u organización que llevara a cabo una actividad comercial, industrial, artesanal o profesional, exigencia indispensable para que una comunicación tenga naturaleza comercial de acuerdo con el apartado
- f)del Anexo de la LSSI. Este precepto define las comunicaciones comerciales como “toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica.” (El subrayado es de la AEPD) III El artículo 6 de la LOPD, “Consentimiento del afectado”, establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 satisfacción del interés legítimo perseguido por el responsable del fichero o por el tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos.” El principio del consentimiento o autodeterminación que se plasma en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos de carácter personal y alude a la necesidad de contar con el consentimiento inequívoco e informado del afectado para que el tratamiento de sus datos sea ajustado a Derecho. Conforme a esa disposición el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración del derecho fundamental pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD), en el artículo 17 se ocupa de la “Revocación del consentimiento” y establece: “1. El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. En particular, se considerará ajustado al presente reglamento el procedimiento en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento o la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 diciembre, los supuestos en que el responsable establezca como medio para que el interesado pueda manifestar su negativa al tratamiento el envío de cartas certificadas o envíos semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste adicional al interesado. 2. El responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento, sin perjuicio de su obligación de bloquear los datos conforme a lo dispuesto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 3. Cuando el interesado hubiera solicitado del responsable del tratamiento la confirmación del cese en el tratamiento de sus datos, éste deberá responder expresamente a la solicitud. 4. Si los datos hubieran sido cedidos previamente, el responsable del tratamiento, una vez revocado el consentimiento, deberá comunicarlo a los cesionarios, en el plazo previsto en el apartado 2, para que éstos, cesen en el tratamiento de los datos en caso de que aún lo mantuvieran, conforme al artículo 16.4 de la Ley Orgánica 15/1999, de 13 diciembre.” (El subrayado es de la AEPD) IV La denuncia que nos ocupa versa sobre el tratamiento que CRÓNICA GLOBAL MEDIA, S.L., (en adelante, CRÓNICA o la denunciada) ha hecho de la dirección electrónica del denunciante después de que éste, supuestamente, hubiera revocado su consentimiento al tratamiento de este dato personal. La Inspección de Datos de la AEPD ha comprobado que el sitio web www.cronicaglobal.com incluye el enlace “Alta newsletter de Crónica Global” a través del cual se accede a un formulario que permite darse de alta como receptor de los boletines informativos y en el que se solicita un único dato personal: la dirección de correo electrónico. El formulario incluye a su vez un enlace a “Aviso legal” en el que se informa de la identidad del responsable -“El diario Crónica Global (www.cronicaglobal.com) es propiedad de Crónica Global Media, S.L. CIF B******”-; se facilita una dirección de correo electrónico -....@cronicaglobal.com- y se informa de la posibilidad de ejercer los derecho de acceso, rectificación, cancelación y oposición mediante escrito dirigido a Crónica Global Media, S.L., avenida Josep Tarradellas, 8-10 ático tercera, 0829 Barcelona. En respuesta al requerimiento informativo que la AEPD hizo a CRÓNICA en relación al consentimiento otorgado por el titular de la dirección electrónica ....1@...., la denunciada aportó una captura de pantalla de sus ficheros en el que ese dato está registrado con fecha de alta el 04/08/2015 –es el único dato personal del denunciante que obra en sus ficheros- y explicó que como la mayoría de los integrantes de sus bases de datos el titular de la dirección electrónica se había inscrito de manera individual, mediante el formulario, como receptor de avisos electrónicos sobre informaciones publicadas. Así las cosas, todo indica que el tratamiento de la dirección electrónica del denunciante, ....1@...., por CRÓNICA contaba con su consentimiento inequívoco otorgado al cumplimentar el formulario de la página web facilitando para ello el dato de su dirección electrónica. En ese sentido resta añadir que el denunciante en ningún caso ha negado haberse dado de alta como receptor de los boletines de noticias de la entidad. La cuestión que debe ser analizada, por tanto, es si el denunciante, a través de los dos correos electrónicos que envió a ....@cronicaglobal.com el 31/08/2015 y el 12/09/2015 en los que pedía que le dieran de baja de sus bases de datos, llegó a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 revocar el consentimiento que inicialmente había prestado para el tratamiento de su dirección electrónica. Ese extremo es esencial por cuanto, en caso de que como aduce el denunciante efectivamente hubiera revocado el consentimiento, los mensajes electrónicos con los boletines de noticias que recibió de la denunciada con posterioridad -esto es, el 16/09/2015, 20/09/2015 y 21/09/2015- podrían constituir un tratamiento de datos personales (de su dirección electrónica) sin su consentimiento, contrario al artículo 6.1 de la LOPD tipificado como infracción grave en el artículo 44.3.b, de la LOPD. Llegados a este punto resulta indispensable hacer las siguientes precisiones sobre el dato personal tratado por la denunciada, es decir, la dirección electrónica del denunciante. Precisiones que tienen su razón de ser en el hecho de que la dirección que CRÓNICA tiene registrada en sus ficheros y a la cual envió los email de 16/09/2015, 20/09/2015 y 21/09/2015 (cuya copia ha aportado el denunciante) es distinta de aquella otra desde la cual el denunciante le envió dos mensajes electrónicos, el 31/08/2015 y 12/09/2015, solicitando que dieran de baja sus datos de los ficheros. Las cabeceras de los mensajes que CRÓNICA envió al denunciante desde .....1@cronicaglobal.com el 16/09/2015, 20/09/2015 y 21/09/2015 permiten constatar que tales mensajes llegaron (dirección de entrega, “Delivered-To”) a la dirección ....@.... pero que CRÓNICA los había enviado a ....1@..... desde donde se redirigieron a la primera. Así pues, todo indica que el denunciante al darse de alta facilitó a CRÓNICA la dirección electrónica ....1@.... que posteriormente cambió y pasó a ser ....@..... Por otra parte, CRÓNICA ha manifestado que no tiene conocimiento de haber recibido un mensaje oponiéndose (más exactamente, revocando el consentimiento) a la recepción de sus boletines de noticias desde la dirección electrónica ....1@..... En respuesta al requerimiento informativo de la Agencia CRÓNICA ha explicado los procedimientos que tiene implementados para atender las solicitudes de baja de boletines informativos. Uno de ellos, descrito en el Aviso Legal de la página web, es el envío de un escrito a Crónica Global Media, S.L., avenida Josep Tarradellas, 8-10, ático tercera, 08029 Barcelona. Otro, a través de la página web, utilizando el formulario “Darse de baja en la newsletter” que únicamente pide que se haga constar la dirección electrónica de contacto del interesado, sin ningún dato adicional. Se trata por tanto del mismo procedimiento establecido para darse de alta a través del formulario. También, a través de las direcciones .....1@cronicaglobal.com o ....@cronicaglobal.com. Ahora bien, el único dato personal a través del cual la denunciada podía llegar a identificar al denunciante era la dirección electrónica ....1@...., ya que ni la denunciada solicitó otro dato adicional para gestionar el alta del usuario a través del formulario ni en sus ficheros constan otros datos personales del denunciante distintos de la referida dirección de email. Por esta razón era materialmente imposible que CRÓNICA pudiera dar de baja el dato ....1@.... cuando la voluntad del denunciante se había manifestado únicamente a través de mensajes electrónicos enviados el 31/08/2015 y el 12/09/2015 desde una dirección , ....@.... , diferente de la que permitía su identificación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 CRÓNICA ha explicado a la AEPD que se han producido situaciones semejantes a la actual cuando un usuario cursa su baja con una cuenta de correo electrónico diferente a la que usó para darse de alta. Añade que aunque el usuario en cuestión use la nueva cuenta bajo redirecciones (razón por la que sí recibe los email de CRÓNICA) “el sistema informático no detecta la cuenta para realizar la baja si no se trata de emails idénticos”. Ha indicado que en estos casos a quienes se han puesto en contacto con ellos para explicarles tal anomalía se les ha solicitado una dirección alternativa que hayan usado en algún momento y que puedan tener redirigida a su actual cuenta de correo, de forma que una vez hallada la cuenta y bajo el permiso de su propietario se ha procedido a dar la baja. De lo expuesto se concluye que la denunciada y responsable del fichero no pudo conocer la voluntad del denunciante de revocar el consentimiento al tratamiento de su dirección electrónica ....1@...., ya que el medio empleado -dos mensajes electrónicos enviados desde una dirección, ....@.... ,que no coincidía con la que CRÓNICA tenía registrada en sus ficheros- hizo imposible su identificación. En consecuencia el consentimiento inicialmente prestado por el denunciante al tratamiento de su dirección electrónica continuaba vigente cuando recibió los email de 16/09/2015, 20/09/2015 y 21/09/2015, por lo que no se aprecia en la conducta de CRÓNICA GLOBAL MEDIA, S.L., que se somete a la valoración de este organismo infracción de la normativa de protección de datos de carácter personal. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CRÓNICA GLOBAL MEDIA, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es